Сетка толькі з IPv6 ламае VPN да запуску тунеля

Ноўтбук далучаецца да Wi-Fi на канферэнцыі, якая выдае толькі IPv6, кліент VPN круціцца і падае, а той жа профіль працаваў у гатэлі гадзіну таму. Нічога ва ўліковых даных не змянілася. Змянілася тое, што кліент цяпер павінен дасягнуць пункта прызначэння IPv4 праз сетку, якая нясе толькі IPv6, і не кожны кліент ведае, як гэта зрабіць.

Прайдзіце тыя ж пяць крокаў, якія праходзяць пакеты.

Крок 1: назірайце за пошукам імя

Калі профіль выкарыстоўвае імя хоста, першае пытанне — што вяртае рэзолвер. dig AAAA vpn.example.com у сетцы толькі з IPv6 вяртае сапраўдны запіс AAAA, сінтэзаваны з DNS64 або наогул нічога. Сінтэзаваны адказ кадуе прызначэнне IPv4 унутры прэфікса трансляцыі, і толькі тады кліент без пункта прызначэння IPv6 можа да яго дабрацца. Профіль з жорстка зададзеным адрасам IPv4 ніколі не даходзіць да гэтага, бо няма імя для сінтэзу.

Гэтая адзіная розніца тлумачыць большасць справаздач «там працуе, тут не», і каб гэта ўбачыць, дастаткова адной каманды.

Крок 2: паглядзіце, да якога сямейства звярнуўся кліент

Назірайце за сокетам, а не за індыкатарам прагрэсу. Кліент, які адкрывае сокет IPv4 да адраса IPv4 у канале толькі з IPv6, не мае куды яго паслаць, і збой выглядае як тайм-аўт, а не як памылка імя. ss -tanp падчас падключэння кліента паказвае аддалены адрас і сямейства, якое ён паспрабаваў. Параўнайце гэта з ip -6 route, каб пераканацца, што маршрут па змаўчанні — сапраўдны наступны крок IPv6.

Сямейства адрасоў у табліцы сокетаў — гэта факт. Індыкатар прагрэсу — гэта зводка, якую напісаў хтосьці іншы.

Крок 3: аддзяліце трансляцыю ад тунеля

NAT64 і DNS64 — гэта тое, як сетка доступу дасягае прызначэнняў IPv4, і для тунеля пасля яго ўзняцця яны не робяць нічога. Тунель, узняты праз трансляваны шлях, усё адно ўзгадняе сваю ўнутраную адрасацыю, а ўнутранае пакрыццё IPv4 або IPv6 — асобнае пытанне палітыкі. Калі кліент падключаецца і потым нічога не дасягае, вы ўжо прайшлі трансляцыю і ўвайшлі ў маршрутызацыю, а гэта іншае расследаванне з іншымі доказамі.

Збой трансляцыі выглядае як адсутнасць падключэння. Збой унутранага пакрыцця выглядае як падключэнне без дасягнення нічога.

Крок 4: праверце той жа профіль у іншай сетцы

Вазьміце той жа профіль, версію кліента і ўліковыя даныя ў сетку з падвойным стэкам і паўтарыце. Калі там працуе, а на шляху толькі з IPv6 падае, зменная — сетка доступу, а не профіль. Запішыце версію кліента і стан сеткі ў заяўку, бо канчатковым выпраўленнем будзе абнаўленне кліента або іншы пункт прызначэння.

Справаздача «VPN зламаны» не дае магчымасці дзейнічаць. Справаздача «падае толькі на доступе толькі з IPv6» — гэта справаздача пра памылку.

Крок 5: выпраўце шлях, а не налады бяспекі

Спакуслівыя выпраўленні ўсе робяць горш. Выключэнне IPv6 прыбірае адзіны шлях, які прапануе сетка. Направіць кліент на публічны рэзолвер — зламаць сінтэз DNS64, бо гэты сінтэз мусіць ісці ад рэзолвера за транслятарам. Адключэнне праверкі сертыфіката дае вам злучэнне з чымсьці, што вы не можаце ідэнтыфікаваць. Нішто з гэтага не выпраўленне, і два з іх — рэгрэсіі бяспекі, якія перажывуць інцыдэнт.

Рэальныя варыянты — кліент, які падтрымлівае мадэль сеткавай трансляцыі, або пункт прызначэння з дасягальным адрасам IPv6. Папрасіце адзін з іх.